stat用于查看用户空间统一抽象的常规元数据（权限、时间戳、大小等），安全易用、跨文件系统；debugfs则直接读取ext2/3/4底层结构，可查crtime、物理块地址、恢复已删文件，但需root权限且仅限ext系列。
查 Linux 文件元数据，stat 和 debugfs 是两类不同层级的工具：前者面向用户空间、安全易用；后者直击文件系统底层、功能强大但需谨慎。选哪个，取决于你要查什么——是常规权限时间，还是 inode、块地址、创建时间这类深层信息。
stat：日常元数据查看首选
stat 命令输出的是 VFS 层统一抽象后的文件属性，适合运维排查、脚本解析和权限审计。
-
看真实权限位：Access 行的八进制数（如
0644）比ls -l更可靠，首位代表特殊权限（4=setuid、2=setgid、1=sticky），例如01777明确表示带 sticky 的目录 -
识别 ACL 干扰：若括号内八进制与字符权限不一致（如
(0664/-rw-rw-r--)），说明存在 ACL 或扩展属性，需配合getfacl进一步确认 - 纳秒级时间戳：默认显示 atime/mtime/ctime 到纳秒，但注意 ctime 不是创建时间，而是 inode 元数据最后一次变更时间（如改属主、改权限）
-
脚本友好输出：用
-c格式化，例如stat -c "%i %A %y" file可稳定提取 inode、权限字符串和修改时间
debugfs：ext 系列文件系统深度探查专用
debugfs 仅适用于 ext2/ext3/ext4，它绕过 VFS 直接读取磁盘结构，必须以 root 权限运行，且目标分区最好处于未挂载状态（或加 -n 参数强制只读）。
-
查文件创建时间（crtime）：先用
stat -c %i /path获取 inode 号，再执行sudo debugfs -R "stat <inode>" /dev/sdXN</inode>，输出中crtime:行即为创建时间——但这仅在启用metadata_csum特性的 ext4 上有效 -
定位物理块位置：分三步走——
debugfs -R "stat /path" /dev/sdXN得 inode 和直接块索引 →debugfs -R "icheck <inode>" /dev/sdXN</inode>查出文件系统块号 → 结合fdisk -l /dev/sdX中的 Start 扇区与块大小，算出硬盘 LBA 地址 -
恢复已删除文件：用
lsdel列出未覆盖的已删 inode，再用icat <inode></inode>提取内容；若需重建目录项，可在写入模式（-w）下用link命令关联 inode 与路径 -
避免误操作：默认只读，修改前务必确认命令效果；任何写操作都建议先对设备做镜像（
e2image）或备份关键元数据（dumpe2fs -h）
什么时候该用哪个？
查权限、大小、标准时间戳、硬链接数？用 stat 就够了，安全、快速、跨文件系统通用。
要确认 crtime、分析日志（logdump）、查看块位图、修复损坏目录、提取已删文件内容？必须用 debugfs，但它只认 ext 系列，且依赖对文件系统布局的理解。
两者不是替代关系，而是互补：常先用 stat 定位问题线索（比如发现某个文件 ctime 异常早），再用 debugfs 深挖底层原因。
